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Beschreibung 

Rschnergestatzte Einrichcung zur Erkennung einer einen Stor- 
fall auslSsenden SCdrfallursache in einer technischen Anlage 

Die Erfindu-g beziehc sich auf sine rechnergestut^ce Sinrich 
tur.g zur Erkennung einer einen Stdrfall auslosenden Sterfai- 
lursache in einer cechnischen Anlage, wobei der Scarfall ge- 
gebenenfalls ein Herunterfahren der technischen Anlage in ei 
nen betriebssicheren Anlagenzuscand ausiast. 

Eine cechnische Anlage, wie beispielsweise eine fossil befeu 
erce oder nukleare Kraftwerksanlage oder eine Produkcionsan- 
lags Oder eine verfahrenstechnische Anlage, weist ablicher- 
weise ein System zur Verarbeicung von ProzeSdaten auf - Ein 
soiches System kann Bestandteil eines verceilten Echtzeit- 
ProzeSinformationssystems sein, bei dem groBe Datenmengen zu 
erfassen, zu verarbeiten und auf zubereiten sowie visuell dar 
zustellen sind. Ein EchczeicprozeSinf ormationssystem ist ub- 
licherweise in das Leitsystem der technischen Aalage einge- 
bunden . 

Mic zunehmender Energie- und/oder Arbeitsausnutzung solcher 
cechnischer Anlagen und ndt zunehmender Sceigerung des £i- 
cherheicsstandards, insbesondere bei einer nuklearen Kraft- 
werksanlage, wachsen auch die Anforderungen an das Syster. zu 
Verarbeicung der Mefidaten der technischen Anlage. 

'n der technischen Anlage kann beispielsweise ein Scarfall 
Lftrecen, durch den die Scillegung einer ?roGuk;ionss-_raSe 

*-iner Fercigungsanlage oder beispielsweise sogar eine F.e- 
akcorschneliabschaltung in einer nuklearen Kraf =werksanlace 
• ausgeiest wire. In solchan Setriebsphasen ist der Anlagense- 
creiber gewillt. eine oder mehrere den Stdrfall ausiosencen 
Sto-fallursachen besonders schnell zu erkennen und beherr- 
schen zu konnen. so daS der durch den Sc6r£ali ausgeldste 
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Schaden fur Material und/oder Mensch und Umwelc inosiichsr ge- 
ring bleibt . 

Die Strategie einer Storfallbehandlung, z.B. gemafl dem Be- 
5 criebshandbuch der technischen Anlage, ist meist so aufge- 
bauc, daS es grundsatzlich zwei Wege gibt. uber welche die 
technische Anlage bei exnem Storfall in einer. sicheren Be- 
criebszustand uberfuhrt werden kann. Der ersce. ereignisori- 
entierce weg besteht darin. einen StOrfail mit Hilfe eines 

10 storfallentscheidungsbauitves zu erkennen und danach die Anlage 
entsprechend der zugeordneten Beschreibung ini Berriebs- 
handbuch in einen langfriscig sicheren Zuscand zu uberfChren. 
Der zweice, schutzzielcrientierte Weg wird erst: dann be- 
schriccen, wenn der StSrfall encsprechend dem erscen ereigni- 

15 sorientisrten Weg nicht klar einzuordnen ist. oder wenn ein 
Kriterium fUr die Verletzung eines besonders bedeutsamen 
Schutzziels erreicht wird. 



20 



Durch die Mdglichkeit der schutzzielorientierten Fahrweise 
erfahrt die ereignisorientiert.e Fahrweise eine gewisse Entla- 
stung, weil sie nicht mehr den einzigen Weg zu einer St6r- 
fallbeherrschung darstellt. Grundsitzlich ist es aber bisher 
ublich, daS ein Operator der technischen Anlage bei einem 
Stsrfall mit Hilfe des im Betriebshandbuch beschriebene.-. 
25 stfirfallentscheidungsbaumes die Entscheidung fallen :nuS< wel- 
che Stdrfallursache vorliegt oder vorgelagen hat. Kierfur muS 
der Operator meist in relativ kurzer Zeit einzelne .:^-nzeigen 
in der Leitwarte der technischen Anlage ablasen und bei- 
stjielsweise zur Beantwortung von ja/nein-Entscheidungen ver- 
wenden. Der hierfur benotigte Zeitaufwa.nd ist relativ groS^ 
xir.d kann sich noch erhdhen, wenn eine .^^nzeige- durch eix-ie.-. Zu- 
fallsausfali gestdrt und/oder durch andere .^.zsiger. ersetct 
werden muiS. insbesondere dann. wenn die stfirf allursache nur 
zeitlich befristet in der Vergangenheit vorgelegen hat, ist 
es dem Operator nur unter hohem Zeitaufwand moglich, eine 
soiche Stdrfallursache noch nachtrSgllch zu erkennen. 



30 



35 
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Der Erfindung liegt daher die Aufgabe zugrunde, den Operacor 
in der Leitwarte einer technischen Anlage besonders guc mit 
Micceln zur Scorf alierkennung und -beherrschung auszuscatten . 

Diese Aufgabe wird erf iadungsgem^S durch eine rechnergescunz^ 
ce Einrichtiung zur Erkennung einer einen St:£>rfall ausldsenden 
Storf allursache in einer technischen Anlage, wobei der Scor- 
fall gegebenenf alls ein Kerunterf ahren der cechnischen Anlage 
in einem becriebssicheren Aniagenzustand ausldst, mit folgen- 
den Komponencen gelost: 

a) einem in einem Speicher abgelegten anlagenspezif ischen 
Storf all entscheidungsbaum, 

b) Micceln zur zeitlich dif f erenzierbaren Verknupfung von 
storf allsicher meSbaren Anlagencopsignalen mit im Stdr- 

f allentscheidungsbaum in logischer Kierarchie angeordneten 
En t s Che idungs kr i t er i en , 

c) Mitteln zur Auslosung einer die St6rf allursache eingren- 
zenden Entscheidung gemaS dem Ergebnis einer der vorange- 
gangenen Verknapfung und gegebenenf alls eines sich in lo- 
gischer Kierarchie daran anschlieSenden weiteren Ent- 
scheidungsweges im StSrf allentscheidungsbaum; und 

d) Mitteln zur Darscellung des entsprechenden Stdrfalient- 
scheidungsbaumes . 

Auf diese Weise wird der Operator in der Leitwarte einer 
technischen Anlage beim Betrieb der Anlage mit ereignisorien- 
tierter Fahrweise durch die rechnergestQzce Einrichcung un- 
terstutzt. Die rechnergestutzce Einrichtung liefert dem Ope- 
rator bei einem Scdrfali eine kompletce Diagnose 
( encsprechend dem voriiegenden anlagenspezi f ischen Sccrfal- 
iencscheidungsbaum im Betriebshandbuch) hinsichtlich der Er- 
mittiung der voriiegenden Storf allursache , Im besor^deren 
durch die MSglichkeit, daS storf ailsicher meSbare Anlagenzo?- 
signale, d.h. Mefiwerte mit besonderer Relevanz fur die Ania- 
gensicherheit zeitlich dif f erenzierbar vsrkniipfbar sind, 
kann auch ein zeitlich zurCckliegender und nur zeitlich be- 
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grenzt aufgetretener Stdrfall und dessen Scdrf allursache ar- 
Jcar-nc werden. Ebenso kann durch diese zeicliche Differenzie- 
rung erreicht werden. dafi bei aus zwei bestimmcen Mefiwercsn 
vorgenorninenen Folgerungen uncerschieden werden kar.n. welche 
5 der Folgerungen in AbhAngigkeic vom Eincreffen der beiden 
MeSwercen zu Ziehen ist, d.h. insbesondere auch eine Kiassi- 
fizierung, abhangig davon, welcher der beiden oder auch meh- 
rerer weiterer MeSwerce zuersc auCgetreten ist. Uncer in lo- 
gischer Kierarchie angeordneten Encscheidungskriterien wird 

10 verscanden, dafi mic Erreichen von zunehmend in der logischen 
Kierarchie weiter uncen angeordneten Encscheidungskriterien 
im Storfallentscheidungsbaum die Stfirfaliursache inmer star- 
ker eingegrenzt werden kann. Unter Mittein zur AuslOsung ei- 
aer die Sterf allursache eingrenzenden Entscheidung wird ver- 

15 standen, daB seiche Erxtscheidungen beispielsweise vollauto- 
macisch durch den Rechner der Einrichtung ausgel6st werden. 
Es wird aber auch verstanden, daS hier ganz konkret vom Ope- 
rator eine Entscheidung zu fallen ist, wobei die fur eine 
solche Entscheidung erforderlichen Daten storfallsicher ge- 

20 messen und bereitgestellt werden. Uncer Mittein zur Darstel- 
lung des stdrf allentscheidungsbaumes wird beispielsweise em 
Datensichcgerat in der Leitwarte der technischen Anlage ver- 
standen. in dem ein Abbild des starf allentscheidungsbaumes 
dargestellt ist und durch entsprechende farbliche oder son- 

25 stige optische Klassif izierung der im Stdrf allentscheidungs- 
baum angeordneten Symbole der von der Einrichtung ermittelte 
Sntscheidungsweg und die entlang dieses Entscheidungsweges 
erkannte St6rf allursache angezeigt werden. 

3C In besoncers vorteilhaf ter Ausgestaltung der Erfindung sind 
Mittel =ur Messung der .ar.lager.topsignale vorgeseher., die =.3 
rr.ehrfach redundant ausgefuhrt sind. .:^uf diese Weise isz es 
mdglich. beispielsweise "=wei von drei" - Sntscheidungen zu 
fallen und daruber hinaus den Ausfali einer einzigen Me5- 

35 scelle oder eines einzigen MeSweges. die bzw. der dreifach 
vorliegc, zu erkennen. 
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Far die Erkennung einer zeiclich zuriickliegenden und nur 
zeitlich begrenzt vorgelegenen St6rfailursache ist es beson- 
ders vorteilhaft/ wenn kurzzeitig anstehende Anlagentopsi- 
gnale in einem dafur vorgesehenen Speicher speichsrbar sind. 
Auf dies© Weise ist es rndglich, die zur Erkennung der Stdr- 
fallursache erf order lichen Anlagencopsignale, die zeitlich 
•zuruckliegend gemessen worden sind und/oder nur kurzfriscig 
vorgelegen haben, noch fur die Storf allerkennung heranziehen 
zu konnen. 

Ausf lihrungsbeispiele der Erfindung werden anhand einer Zeich- 
nung naher erl^unert* Dabei zeigen: 

FIG 1 den schematischen Aufbau einer Einrichtung zur Erken* 
nung einer einen Stdrfall ausl6senden Stdrfallursa- 
che; und 

FIG 2 in schema tischer Darstellung einen Stdrf allentschei- 
dungsbaum. 

In der in FIG 1 dargestellten Einrichtung 2 zur Erkennung ei- 
ner einen Storfall ausldsenden Storf allursache in einer hier 
niche weiter dargestellten technischen Anlage erkennt man ei- 
nen Anlagenbus 4, uber den die von der Anlage kommenden MeS- 
werte und auf die Anlage zuruckwirkenden Signale transport 
tiert werden. Ein MeSwertauswerter 6 greift auf den Anlagen- 
bus 4 zu und erfafit sogenannte Anlagentopsignale 8a bis' 8c, 
deren Datenerf assung und -struktur dreifach redundant ausge- 
fuhrt sind, Der MeSwertauswerter 6 gibt die Anlagentopsignale 
8a bis 8c, die nur kurzzeitig auf den Anlagenbus anstehen, an 
einen redundant ausgefahrten Datenspeicher 10 zur Speicherung 
weicer. 

Ebenso kann der MeSwertauswerter 6 nach entsprechender Auf- 
forderung durch einen Rechnerbaust ein 12 auch in umgekehrcer 
Richtung Daten aus dem Datenspeicher 10 in den ProzeS einle- 
sen . 
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Der MeSwertauswercer 6 gibe die dreifach redundant: erfalScen 
Anlagentopsignale 8a bis 8c weiter an den Rechnerbauscein 12. 
der hier drei vcneinander unabhSngig arbeicende Mikroprozes- 
soruntereinheicen 14a bis 14c aufweist. In den Mikroprozes- 
soruncereinheicen 14a bis 14c wird rout:ineir,aSig jeweils unab- 
hdngig ein Prograrrm gefahren, das die vom MeSwertauswercer 6 
kommenden Anlagentopsignale 8a bis 8c auf Grenzwerce cder 
sonstige fur den Anlagenbecrieb bedeutsame Kriterien pruf t: . 
Liegt nun an zwei von drei Mikroprozessoruntereinheiten 14a 
bis 14C ein .^.-lagentopsignal 8a bis 8c vor, das ein besonders 
becriebsrelavances Kricerium fur das Ausldsen des Herunter- 
fahrens der cechnischen Anlage. also eines gravierenden St6r- 
falls, ausldst, wird die Anlage gegebenenf alls von einem 
nicht weiter dargescellcen Leitsystem heruncergef ahren. 

Gleichzeitig ladt der Rechnerbaustein 12 aus einem weiteren 
Speicher 16 einen fur die Anlage spezifischen Storfailent- 
scheidungsbaum STEB und gibt diesen an ein Dacensichcgerat 18 
aus. das sich beispielsweise in der hier niche weiter darge- 
stellten Leitwarte befindec. Nach Ausgabe des St6rfallent- 
scheidungsbaums STEB an das Datensichtgerat 18 wird die St6r- 
fallursache mit Hilfe des in den Mikroprozessoruntereinheiten 
ab 143 bis 14c ablaufenden Programtns Schritt far Schritc 
eingegrenzt und bestiinmt . Hierzu werden an bescinanten Steilen 
im Storfallentscheidungsbaum STEB angeordnece Entschei- 
dungskriterien mit den entsprechend dissen Kriterium zugeord- 
necen Anlagentopsignalen 8a bis 8c verknCpft. Mictels diaser 
verknupfung wird von den Mikroprozessoruncereinheiten 14a bis 
14c. sofern zwei der Mikroptozessoruntereinheicen 14a bis 14c 
ru demselben Resultat kommen. eine die Scarf allursache em-^ 
grenzende. Encscheidung ausgeldsc. Gleichzeitig wird der sich 
in logischer Hierarchie an die cula-- = r ausgel6ste Er.tschei- 
dung anschlieSende weicere Encscheidungsweg im Storfallen-- 
scheidungsbaumjn STEB ausgei6st. So weist beispielsweise der 
im Dacensichtgerat 18 angezeigte scfirf aliencscheidungsbaum 
SFE3 einen Encscheidungsweg auf, in dessen Verlauf drei Enr- 
scheidungen anhand der Verknupfung der storf allsicher meSba- 
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ren Anlagentopsignale 8a bis 8c gefailt werden inuSnen, damic 
die den Stdrfall ausldsende Sterf allursache bestimmt werden 
konnce, Mitrtels einer Eingabeeinheit 20 ist es beispielsweise 
auch dem Operator der cechnischen Aalage von Fall zu Fall 
5 mdglich, bestimmte Entscheidungen selbst zu creffen und damit 
den sich in logischer Hierarchie anschlieSenden weiteren 
Entscheidungsweg auszulosen. Hierbei isc es vorgesehen, daS 
der Inhalt und die Darsteliung des Stdrf aliencscheidungsbaums 
STE3 im Datensichtgerat 18 eine Transparenz aufwe^sen, die es 
10 dem Operator eriaubt, bestimmce Entscheidungswege prQfend 
nachzuvoll Ziehen, so daS der Operator aiu ProzeS beteiligt 
bleibt, was beispielsweise bei der alleinigen Darsteliung ei- 
nes Analyse-Ergebisses nicht der Fall wixe. 

15 Mittels der vorstehend erlauterten Einrichtung 2 wird ein 
Operator der technischen Anlage bei ereignisorientierter 
Fahrweise der Anlage durch den rechnergestutzten Stdrfallent- 
scheidungsbaum STEB so unterstutzt, daS ihm im Datensichtge- 
rat 18 eine vollstAndige und fehlerfreie Diagnose hinsicht- 

20 lich der Ermittlung der vorliegenden St6rf allursache gelie- 
fert wird. Es ist weiter moglich, daS der Operator mitteis 
der Eingabeeinheit 20 aufgrund der aus dein Stdrf allent schei- 
dungsbaum STEB abgeleiteten Diagnose in den Betrieb der 
Kraf cwerksanlage eingreift. Hierzu konnen vom Operator abge- 

25 setzte Befehle in dem Rechnerbaustein 12 bearbeicet und ent- 
sprechende Daten an den Anlagenbus 4 ausgegeben werden. 

In FIG 2 ist ein St6rf allentscheidungsbaum STEB dargestellr, 
wie dieser beispielsweise auf dem Datensichtgerat 18 in der 

30 Leitwarte einer nuklearen Kraf twerksanlage bei Voriiegen ei- 
nes einen Storfali auslosender St6rf allursache angezeigt 
wird. Der Storf allentscheidungsbaum SFEB kennc dsfir.ierce 
Entscheidungswege, die sich aufgrund des technologischen Wis- 
sens uber die Kraf twerksanlage ergeben . Die im St6rfallent- 

35 scheidungsbaum SFEB abgehandel ten StOrfalle und Storf allursa- 
Chen gemaS der Ent scheidungswege ergeben sich auslegungsbe- 
dingt, d.h. die nukleare Kraf twerksanlage ist fur diese Stcr- 
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fdlle ausgelegt. Das heifit auch, daS die zur Ermictlung be- 
stiinmter Entscheidungskriterien erforderlichen Anlagentopsi- 
gnale st6rf allsicher und ailgemeinen dreifach redundariw 
gemessen werden. 

5 

Der im vorliegenden Stdrf allentscheidungsbaum SFE3 ausgeiaste 
Entscheidungsweg ist schraffiert unterlegt. Das in der zsich- 
nerischen Darscellung oberste Feld mic der Inschrifc "RESA" 
steht fur das st6rf allbedingte Ausl6sen einer Reakcorschneil- 

10 abschaltung. Der ReaJccor wird dabei bis zuin Erreichen eines 
becriebssicheren Zustandes heruntergefahren. Dem RESA-Feld 
nebengeordnec ist das Feld "c". in dein der tatsachiiche Zeic- 
punkt der Auslisiing einer Reakcorschnellabschaltung (RESA> 
aufgenommen wird. Das Feld "Taupunkc T loop 1/2/3/4" wird 

15 ausgeldsc, wenn zwei von drei der Taupunkttemperacurmessungen 
Oder "eine von drei" dieser Taupunkttemperaturmessungen und 
eine Taupunktteroperaturmessung an den entsprechenden Umlufc- 
kiihlern anspricht . Das Feld -Kond AR" wird ausgeiast, wenn an 
den Umluftkilhler der Loop 1/2 oder der Lopp 3/4 ein einen 

20 gewissen Grenzwerc ubersteigender Kondensatanf all gemessen 

wird und gleichzeitig der Fullstar.d in einem der beiden SOntp- 
fe der Umluf tkuhlern aber einen Maxinvalwert ansteigt. Das 
Feld "Beer Ra" wird ausgeiast, wenn der Kondensatanf ail in 
den Betriebsraumen der nuklearen Kraf twerksanlage an zwei von 

2 5 vier Umluf tkahlem einen Maxiitialwert Oberschreitet . Sbenso 
kann der Wasserstand in einem der beiden SQmpfe den 
Maximalwert ubersteigen und gleichzeitig an einen von vier 
Umluf ckahlern ein den Grenzwerc aberschreicender Kond^nsa- 
coranfall vorliegen. Fuhrt die iogische und anlagenspecif i~ . 

30 sche VerknCpfung der vorgenanncen Mefikriterien zu dem Ergec- 
nis "ja" wird als ndchstes f es::gescallt., ob in de.T\ P.aak-cr- 
sicherheitsbehalter Aktivitic frsigesetzt isc. Erganzend sai 
noch angemerkt, daS bei Vorliegen der Entscheidung "nein" eir. 
in der Figur 2 niche weicer dargestellcer Teil des Storfall- 

35 entscheidungsbaumes STEB durchlaufen wird. 
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Far die Erkennung von kleinen Primarlecks sind storf allsiche 
re Aktivicacsmessungen der Raumluft: ixn Reaktorsicherheitsbe- 
haiter vorgesehen, die bei Uberschreiten von Grenzwerten zu 
einem Auslosen des Feldes "Aktivicac RS3" fuhren. Als Decail 
information werden die ausgeldsten Grenswerte wie 
••Orcsdosisleistung zu hoch" oder "Hochdosislestung su hoch** 
angezeigt. Fuhrc die Messung der Aktivicaten ni^iiiL- zum Auslfi- 
sen des Feldes "AkcivitA:: RSB", wird der Nein-Pfad ausgeldsc 
and das Analyse-Ergebnis "Sekundarleck innerhalb des Reaktor- 
sicherheitsbehalters (RSB) " ausgegeben, 

Liegt - wie im Ausf uhrungsbeispiel vorgesehen - das "Ja"-Kri- 
terium vcr, wird im nachsten Schritt abgefragc. ob das Noc- 
kuhlkriterium vorliegt . In diesem Fall liegt ein NotkQhlkri- 
terium aufgrund der gemessenen Anlagentopwerte nicht vor, so 
dafi das Entscheidungskriterium "Nein" und das im Entschei- 
dungsweg nachfolgende Feld -Leek im Reaktorkuhlsystem" aus- 
gelost wird. Weil ein NotkUhlkriterium nicht vorlag, wird als 
den Stdrfall ausl<^sende Storf allursache ein Minileck im Re- 
akcorkuhlsystem ident if iziert . Das heiSt das Feld "Minileck" 
mit der zugehdrigen Beschreibung im Betriebshandbuch, hier in 
Kapitel 3-1.1, wird ausgelost. 

Wurde das Vorliegen eines Notkuhlkriteriums bejaht, was das 
Ausl6sen des *Ja " -Feldes zur Folge hatte, schldSe sich im Enr- 
scheidungsweg die OberprUfung des Kriteriums an, ob der 
Druckabfall des Kuhlmittels innerhalb einer bescimmten Zeic 
sinen bestimmcen Wert erreicht, Wird das Feld •'Ap lOExgbar" 
ausgeldst, d.h. liegt eine ■ Ja"-Ent3cheidung vor, wird im 
weiteren Encscheidungsweg das Feld "GroS-Leck" ausgelCst - 

1st: dieser innerhalb einer bescimmcien Zeit vorliegende Drucr.- 
abfail kleiner als der zuiassige Grenzwert, wird die "Mein"- 
Encscheidung ausgldsc . Es wird dann als nachstes gepruft, ob 
der den Reaktordruck auf rechcerhaltene Druckhalcer das vorge- 
schriebene Niveau halt. Liegt hier eine " Ja" -Entscheidung 
vor, wird das Feld "Kl/M RKL- ausgelost. Dies bedeutec, daS 
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ein kleines bis mitcleres Leek im ReaktorkOhlsystem vorliegt 
Wird vorstehend die "Nein" -Entscheidung ausgeldst, liegt ein 
Leek im Druckhalter vor, was durch Ausidsen des Feldes "DK- 
Leck" angezeigt wird. 

5 

Die vorstehend eriaucerce Einrichtung 2 tragi darait in nahez 
vollautomacischer Weise zur Beherrschung von AnlagenstSrfal- 
len bei, fur die die Ar.lage und dementsprechend der Stdrfall 
entscheidungsbauin ausgelegt sind. Weil die MeSwerterfassung 

10 und -verarbeitung im Bezug auf die Auslegungsst6rf Silen stir 
falisicher ausgelegc sind, uncerscutzc die eriaucerce Ein- 
richtung voll die ereignisorientierte Fahrweise der techni- 
schen Anlage und sichert deren Betrieb vollkommen ab. ZusStz 
lich kann nach dem Erkennen der den SCdrfall ausldsenden 

15 sterfallursache automatisch ein den Stdrfall behebendes The- 
rapieverf ahren gestartet werden. 

Die Einrichtung 2 Idst dabei durch Analyse der fur die Anla- 
gentopsignale 8a bis 8c relevanten Kritsrien eine Entschei- 
20 dung aus . Dabei erfolgt durch Analyse der zeitlichen Reihen- 
folge des Eintreffens und/oder der Zeitdauer des Ar.scehens 
von Anlagentopsignalen 8a bis 8c eine Encscheidungsauslosung 
und damic im besonderen eine zeitliche Oif f erensierung diesa 
GroBen zur Entscheidungsf indung . 
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Pacencanspruche 

1. RechnergestOtzce Einrichcung (2) zur Erkennung einer eine 
Sterfall auslCsenden Stdrfallursache in einer technischsr. 
5 Anlage, wobei der Sc5rfall gegebenenfails ein Heruncerfah 

ren der technischen Anlage in einem betriebssicheren Anla 
genzustand ausldst, mic folgenden Komponenten: 

a) einem in einem Speicher (16) abgelegten anlagenspezif i- 
schen Storf allentscheidungsbaum (STEB), 

b) Mitteln zur zsitlich dif f erenzierbarsn Verknupfung von 
stOrf allsicher meSbaren Anlagentopsignalen (8a bis 8c) mi 
im St:6rfallentscheidungsbauin (STEB) in logischer Hierar- 
chie angeordneten Encscheidungskriterien, 

c) Micteln (14a bis 14c) zur AuslCsung einer die Storfallur- 
sache eingrenzenden Entscheidung gexndS dem Ergebnis einer 
vorangegangenen Verknupfung und gegebenenfalls eines sich 
in logischer Hierarchie daran anschliefienden weiteren Ent- 
scheidungsweges im Storf allentscheidungsbaum (STfiB) , und 

d) Mitteln (18) zur Darscellung des entsprechenden St6rfal- 
lencscheidungsbaumes (STEB) . 

2. Rechnergestutzce Einrichtung nach Anspruch 1, 
dadurch gekennzeichnet, daS Mittel 
zur Messung der Anlagencopsignale (8a bis 8c) vorgesehen 
sind, die mehrfach redundant ausgefuhrt sind. 

3. Rechnergestutzte Einrichcung nach Anspruch 1 oder 2, 
dadurch gekennzeichnet, daS kurzfri- 
scig anscehende Anlagencopsignale (Sa bis 8c) in einem dafur 
vorgesehenen Speicher (10) speicherbar sind. 
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4. RechnergestiStzte Einrichtung nach Anspruch 3, 
dadurch gekennzeichnet, dafi durch Ana- 
lyse der fur die Anlagentopsignale (8, 8a bis 8c) relevanten 
Kriterien eine Encscheidung ausl6sbar ist . 

5 

5. Rechnergsetatzce Enrichtung nach Anspruch 3 oder 4, 
dadurch gekennzeichnet, daS durch Ana- 
lyse der zeitlichen Reihenfolge und/oder der Zeitdauer des 
Anstehens von Anlagentopsignalen {8, 8a bis 8c) eine Ent- 

10 scheidungsausl6sung erfolgt. 
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